Detecção & resposta / Estudo 01
O SOC não viu.
O EDR não gritou.
O Firewall deixou passar.
Um teste controlado sobre o intervalo entre ter ferramentas de segurança e possuir capacidade real de detecção.
As camadas reconheceriam um comportamento malicioso disfarçado de rotina legítima?
A hipótese era simples: um canal criptografado, operando em uma porta comum e apresentando características semelhantes a um agente autorizado poderia atravessar os controles sem gerar um alerta relevante.
O objetivo não era contornar a segurança, mas medir a diferença entre telemetria disponível e detecção acionável.
Simulação isolada, autorizada e orientada por evidências.
Foi utilizado um simulador próprio, escrito em Go, em ambiente controlado. A comunicação utilizou criptografia de sessão e um fluxo semelhante ao de uma aplicação corporativa conhecida. Durante o experimento, foram observados os registros produzidos por diferentes camadas defensivas.
Havia rastros. Não havia uma detecção útil.
A conexão foi permitida porque respeitava uma política existente.
O processo e o comportamento não atingiram os critérios de bloqueio.
A comunicação apareceu como um fluxo aparentemente legítimo, sem correlação suficiente para gerar alerta.
“Ausência de alerta não é ausência de atividade. É apenas ausência de contexto suficiente.”
Ferramentas são sensores. Detecção é engenharia.
- Validar controles por meio de cenários realistas e autorizados.
- Correlacionar identidade, processo, destino e padrão de comunicação.
- Revisar relações de confiança e exceções operacionais.
- Medir a cobertura das técnicas relevantes ao ambiente.
- Assumir que prevenção e monitoramento podem falhar simultaneamente.